Il lato oscuro della cybersecurity

Dopo un attacco informatico il copione è quasi sempre lo stesso. I backup vengono ripristinati, i servizi tornano online, arriva il comunicato (“incidente risolto, nessuna criticità residua”). Per l’azienda la crisi è finita. Per chi l’ha gestita no: analisti, sistemisti e responsabili della sicurezza hanno passato notti e weekend in reperibilità, e restano con un carico che nessun log registra.

Una crisi che i report sugli incidenti non misurano

Gli studi sul costo di un attacco contano dati rubati, giorni di fermo ed euro. Un numero crescente di ricerche misura invece quanto costa difendere. Secondo il report The Human Cost of Vigilance di Sophos, basato su un sondaggio indipendente tra 5.000 professionisti IT e cybersecurity in 17 paesi, il 76% degli intervistati ha vissuto fatica o burnout da cybersecurity, almeno occasionalmente, nell’ultimo anno. Inoltre il 69% segnala che il fenomeno è aumentato tra il 2023 e il 2024. sophossophos

Il quadro è simile in altre indagini. Il report Voice of the CISO 2025 di Proofpoint, realizzato su 1.600 responsabili della sicurezza in 16 paesi, rileva che il 63% ha vissuto o visto da vicino episodi di burnout nell’ultimo anno. Il Cybersecurity Workforce Research Report 2026 di SANS e GIAC, citato da ICT Security Magazine, registra che il 61% delle organizzazioni ha rilevato un aumento dello stress nei team di sicurezza negli ultimi due anni. algeriatechictsecuritymagazine

Perché si brucia

Non esiste una sola causa. Sophos osserva che gli intervistati indicano in media tre fattori diversi alla base del proprio burnout. Il più citato è il continuo cambiamento delle tecnologie e delle soluzioni di difesa. sophossophos

Poi ci sono le risorse. Il Cybersecurity Workforce Study 2024 di ISC2 ha coinvolto 15.852 professionisti: il 67% delle organizzazioni segnalava carenza di personale nei team di sicurezza, con 4,8 milioni di posizioni scoperte nel mondo. Nello stesso studio la soddisfazione lavorativa è scesa al 66%, quattro punti in meno rispetto all’anno prima. Secondo il CISO di ISC2, Jon France, intervistato dalla BBC, il settore chiede sempre più spesso di fare di più con meno, e questo alimenta lo stress e l’insoddisfazione. Un altro intervistato, che ha preferito l’anonimato, è stato messo in malattia per burnout dopo anni di stress accumulato (ricostruzione di Cyber Magazine). cybersecurity burnout +2

Il paradosso: lo stress è un rischio di sicurezza

Il burnout non danneggia solo le persone. Gartner, già nel 2023, aveva previsto che entro il 2025 quasi metà dei responsabili cybersecurity avrebbe cambiato lavoro, e il 25% sarebbe passato a ruoli completamente diversi per lo stress. L’analista di Gartner Deepti Gopal aggiungeva che l’impatto psicologico pesa direttamente sulla qualità delle decisioni e sulle prestazioni dei leader e dei loro team. gartnergartner

Gartner prevedeva anche che entro il 2025 la mancanza di talenti o gli errori umani sarebbero stati all’origine di oltre metà degli incidenti informatici significativi. Si tratta di una previsione, non di un dato misurato a consuntivo, e va letta come tale. Il meccanismo che descrive è però plausibile: chi è sfinito sbaglia di più, chi se ne va porta via esperienza, e i team più esposti diventano più vulnerabili. gartner

Quando la colpa diventa personale

C’è poi un’altra pressione, quella legale. Due casi americani sono spesso citati insieme, ma sono molto diversi e vanno distinti.

Joe Sullivan (Uber). L’ex responsabile della sicurezza di Uber è stato condannato nel 2022 per ostruzione alla giustizia: dopo la violazione del 2016, che aveva esposto i dati di 57 milioni di utenti, la vicenda era stata trattata come un “bug bounty” e gli hacker avevano firmato accordi di riservatezza. La pena è stata di tre anni di libertà vigilata e 500.000 dollari di multa, e il 13 marzo 2025 la Corte d’appello del Nono Circuito ha confermato la condanna all’unanimità. Qui il punto non era l’attacco subito, ma l’occultamento. Updates to our Terms of Use +2

Tim Brown (SolarWinds). Nel caso SolarWinds la SEC aveva accusato l’azienda e il suo CISO di aver ingannato gli investitori sulle pratiche di sicurezza dopo l’attacco Sunburst. Fu la prima volta che la SEC avviava un’azione contro un singolo CISO. A luglio 2024 il giudice ha respinto gran parte delle accuse, e il 20 novembre 2025 la SEC ha accettato di chiudere definitivamente i capi residui. L’azienda ha dichiarato di sperare che la conclusione attenui le preoccupazioni dei CISO sull’effetto dissuasivo di un caso simile. Lo stesso Brown aveva parlato pubblicamente dell’ansia che la vicenda aveva generato tra i professionisti della sicurezza. SolarWinds Dismissed: What the SEC’s U-turn Signals for Cyber Enforcement +4

Il messaggio non è che la responsabilità sia ingiusta, ma che il confine tra ruolo tecnico e responsabilità personale è oggi più sottile, e chi lo vive ne sente il peso.

Cosa possono fare le organizzazioni

Le fonti citate concordano su un punto: servono cambiamenti strutturali, non solo iniziative di benessere. Gartner osserva che eliminare lo stress è irrealistico, ma le persone reggono lavori molto impegnativi quando operano in culture che le sostengono. Da qui, alcune indicazioni operative che sono nostre valutazioni editoriali, non risultati degli studi citati: gartner

• Reperibilità a turni e recupero obbligatorio dopo un incidente maggiore, non solo “ringraziamenti”.
• Debriefing senza capro espiatorio: analizzare cause e processi, non cercare un colpevole.
• Ruoli e responsabilità scritti, compreso chi decide cosa comunicare e a chi, così il peso non ricade su una persona sola.
• Budget e organici coerenti con il rischio che si dichiara di voler gestire.
• Meno strumenti, meglio integrati, se il cambiamento continuo è tra le cause di affaticamento.

In sintesi

Un sistema ripristinato non vuol dire che l’incidente sia finito per tutti. Chi lavora in cybersecurity è una risorsa critica quanto i server che protegge, e trattarla come tale è anche una scelta di sicurezza.